nanobot v0.3.0 → v0.3.5 — deep research report

Shrnutí

v0.3.5 je největší release od v0.3.0: 402 merged PRs, 45 nových contributorů, 809 commitů mezi tagy. Hlavní příběhy: (1) nativní terminálový klient (TUI) sdílející stejný gateway a session storage jako WebUI, (2) přemístění session JSONL souborů mimo workspace + viditelná context compaction, (3) přepis timeout modelu z celkového na idle-based, (4) výrazné security zpevnění (credentials v subprocess env, SSRF, sandbox backends).

Zjištění

1. Terminálový UI (nové) — ~95 commitů scope `tui`

nanobot bez argumentů spouští nativní TypeScript TUI; nanobot agent zůstává alias; --classic = starý Python prompt
TUI hovoří se stejným gateway jako WebUI — jeden protokol, sdílené WebSocket session
Funkce: resume/fork sessionů, /detach, /diff (fullscreen unified diff posledního turnu), /usage token grafy, paste clipboard obrázků, autocomplete skill references, slash commands, LaTeX rendering, follow-up queue, interaktivní titulky sessionů
Platform wheels obsahují TUI binárku (checksummed, version-matched) — první spuštění nestahuje z GitHubu, nevyžaduje Bun
Podporované wheels: macOS 13+ arm64/x64, glibc 2.17+ Linux arm64/x64, Windows x64
Lifecycle: zavření posledního interaktivního launcheru (WebUI/TUI) stopne on-demand gateway; /detach nebo nanobot gateway --background ji nechá běžet
Zdroj: [1], [3]

2. Session storage — breaking změna

Session JSONL soubory se stěhují z <workspace>/sessions/ do <config-dir>/sessions/<workspace-id>/ — mimo agent-readable workspace
První upgraded start provede migraci po ověření atomic copy; symlinked legacy migration se rejectuje
Stará a nová verze nesmí zapisovat stejný workspace současně
Downgrade: nanobot sessions restore-workspace --config <config.json> --workspace <workspace> (odmítne přepsat odlišný existující soubor)
Zdroj: [1], [3]

3. Runtime / env vars — breaking změny

NANOBOT_LLM_TIMEOUT_S — zrušen (Unused). Nahrazuje ho NANOBOT_STREAM_IDLE_TIMEOUT_S (default 90 s, max 3600, clamp). Idle timeout renewed každým stream eventem včetně reasoning/tool-call delt — není to celkový limit
NANOBOT_MAX_CONCURRENT_REQUESTS — defaultně unlimited (dřív limit); kladné int = cap
Subagent concurrency: default 4, přebytečná práce čeká na kapacitu
agents.defaults.failOnToolError — odstraněno
/health endpoint může vracet HTTP 503, když enabled WebSocket channel neběží — monitoring (Zabbix) nesmí předpokládat 200 vždy
Remote project selection používá cesty na nanobot hostu, vyžaduje Restricted access
Zdroj: [1], [4]

4. Security

fix(providers): stop writing API keys into process os.environ — klíče už neleží v environ subprocessů
Izolace prostředí: fix(cli): isolate management subprocess environments, fix(webui): isolate folder picker environment
SSRF: block IPv6 unspecified targets, pin validated DNS (přesněji: harden generated image downloads, credential URLs mimo Jina reader a failure logy)
feat(exec): add a macOS Seatbelt sandbox backend + feat(exec): allow extra bwrap bind roots (Linux bwrap)
Executive advisory v release: exec.allowPatterns shell-chain bypass umožňující unintended command execution — opraveno
Email auth: verifySpf/verifyDkim nyní vyžadují channels.email.trustedAuthservIds (explicitní trust anchor od receiving mail service). Bez něj Email config nenastartuje — workaround „vypnout verifikaci" není podporován
Zdroj: [1], [2]

5. WebUI workbench — ~240 commitů scope `webui` (největší oblast)

Až 4 conversation panely vedle sebe v resizable groups, persistent sidebar ordering, drag sessionů do mentions, temporary chats
Per-round token/cache grafy, visible context-compaction progress, paged history search, cumulative summaries
SkillHub (marketplace), portable Agent Plugins, remote MCP browser OAuth + token refresh
Automations: task + calendar view, per-run replies, edit zachovává pending executions, delete už neblokuje navigaci
PWA (instalace na home screen), mobilní composer, draggable context sheets
Zdroj: [1], [2]

6. Memory / Dream — 32 commitů

feat(memory): restore Dream model preset override — Dream lze přepnout na jiný model preset
fix(dream): stop duplicating SOUL/USER/MEMORY into the Dream prompt — prompt duplikace opravena
Idle compaction: konfigurovatelný scan interval, reuse session context (perf), invalidace provider state po idle compaction
Množství robustness fixů: no-op batche, retryable failed batches, truncated consolidation output, tool-call-only consolidation reject
Zdroj: [1], [2]

7. Providers / modely

DeepSeek Responses API + V4 Pro Responses + V4 vision
Eden AI a OrcaRouter jako OpenAI-compatible gateway providers
Grok 4.6 subscription model, OAuth model catalogs online discovery
AnySearch provider (key-optional, anonymous quota)
Telegram: streaming rich messages, compaction notices collapsed do jedné editované zprávy
Zdroj: [1], [2]

8. Cron / scheduling — 14 commitů

Edit automation details zachová pending runs
Scheduler přežije selhání job-store persistence, žádný replay po persistence failure
Retire persisted heartbeat/dream jobs při disabled, startup job count reconciliation
Heartbeat: unified sessions routují na last channel
Zdroj: [2]

Co se netýká tvého deploymentu

Desktop coexistence, DingTalk/WeCom/WeChat/Matrix/QQ/Signal/Mattermost fixes — neaktivní kanály
Windows path escaping v sandbox testech

Dopady na tvůj deployment (systemd + Telegram + Zabbix + Ollama)

Zabbix health check: /health může vracet 503 — ověř trigger na 503, ne jen connection refused
Env vars: pokud máš někde NANOBOT_LLM_TIMEOUT_S, přestal fungovat → NANOBOT_STREAM_IDLE_TIMEOUT_S
Session soubory: zmigrované z workspace do config dir — pozor na zálohy (wood.hell → pivo.hell): /sessions/ pod workspace už nebude primární umístění
Gateway lifetime: systemd service běží gateway explicitně — on-demand lifetime se netýká
Telegram: rich streaming nově podporován

Rozpory a nejistoty

GitHub tagy 0.3.1–0.3.4 neexistují (release notes tvrdí „Since v0.3.0" — 402 PRs; compare API ukazuje 809 commitů, což zahrnuje i merge commity). Oba údaje z primárních zdrojů, rozdíl je v metodice počítání
PyPI uvádí releases 0.3.1–0.3.4 (neověřeno, co obsahovaly — bez GitHub tagů nejsou release notes k dispozici)

Zdroje

[1] Release notes v0.3.5 — https://github.com/HKUDS/nanobot/releases/tag/v0.3.5 [2] Git compare v0.3.0...v0.3.5 (809 commit subjects, GitHub API) — https://github.com/HKUDS/nanobot/compare/v0.3.0...v0.3.5 [3] CLI Reference v0.3.5 (session storage & rollback) — https://github.com/HKUDS/nanobot/blob/v0.3.5/docs/cli-reference.md [4] Configuration v0.3.5 (runtime env vars) — https://github.com/HKUDS/nanobot/blob/v0.3.5/docs/configuration.md [5] PyPI JSON API — https://pypi.org/pypi/nanobot-ai/json

7.1 KiB Raw Blame History Unescape Escape